【Zscaler】Okta連携手順 (SAML/SCIM) ~ZPA編~｜技術ブログ

2024.02.26

はじめに

本記事は、Zscaler Private Access (ZPA) のIDaaS連携に関する内容です。
Zscalerを利用する際の認証基盤として、OktaでのSAML連携が可能です。
ZscalerとOktaの連携によって、あらゆる場所やデバイスからインターネットおよびSaaS、社内リソースなどへの高速かつ安全なアクセスを実現します。
今回は、ZPAとOktaの連携におけるSAMLおよびSCIMの設定手順についてご紹介します。

Oktaとは
クラウド型のID管理・統合認証サービスです。
認証情報を統合的に管理し、シングルサインオン (SSO) や多要素認証を可能にします。

ZscalerとOkta連携の詳細な手順については、下記オンラインヘルプを参照してください。

Zscalerドキュメント
Okta用設定ガイド
ZscalerとOktaの展開ガイド

1. 概要

SAML
SAML (Security Assertion Markup Language) は、シングルサインオン (SSO) を実現するための認証方式の一つで、ZPAでは必須の認証方法です。
ユーザがZscalerにアクセスすると、Zscaler (SP) とOkta (IdP) の間でやりとりが生じます。
Okta側でユーザのIDやアクセス権が検証されると、Zscalerへのアクセスが許可または拒否されます。

　Identity Provider (IdP)
　認証情報を管理、提供するシステム。　※本構成ではOkta

　Service Provider (SP)
　認証情報を利用するSaaS等のサービス。　※本構成ではZscaler

SCIM
SCIM (System for Cross-domain Identity Management) は認証情報をIdPやSP間で共有することを指し、IDプロビジョニングの自動化を可能にします。ユーザがIdP (Okta) データベースに追加されると、ユーザ情報が自動的にSP (Zscaler) データベースにプロビジョニングされます。

※前提条件
Oktaで利用しているドメイン名をZscalerに申請し、ZPA側に追加しておく必要があります。

2. Oktaログイン

ZscalerとOktaを連携するにあたり、Oktaへの管理者権限でのログインが必要となります。
Okta管理ポータルにアクセスし、管理者アカウントでログインします。

3. Okta設定 (1)：ZPAアプリケーション追加

Zscalerへの認証とプロビジョニングに必要なアプリケーションを追加します。

①アプリケーション > アプリケーションを選択します。
②「アプリ・カタログを参照」をクリックします。

③「zscaler」と検索して「Zscaler Private Access 2.0」のアプリケーションを選択します。

④「統合を追加」をクリックします。

Zscaler Private Access 2.0を追加すると初期設定画面が表示されます。

⑤「アプリケーションの可視性」にチェックを入れ、「完了」をクリックします。

4. ZPA設定

ZPAの設定で必要となるOktaメタデータファイルを入手します。

①「サインオン」タブを選択します。
②「SAMLの設定手順を表示」をクリックします。

③メタデータをXMLファイルとして保存します。このファイルはZPAの設定で使用します。
④ウィンドウを閉じてZPA管理者ポータルを開きます。

OktaをIdPとして追加するため、ZPA管理ポータルにログインします。

⑤Authentication > User Authentication > IdP Configurationを選択します。
⑥IdP Configurationタブで「Add IdP Configuration」をクリックします。

⑦Add IdP Configurationウィンドウが開きます。
⑧IdPの名前を入力します。
⑨Single Sign-Onで「User」を選択します。
⑩認証ドメインを選択します。
⑪「Next」をクリックします。

⑫Service Provider URLとService Provider Entity IDをコピーして保存します。
⑬「Next」をクリックします。

⑭IdP Metadata Fileに③で保存したメタデータファイルをアップロードします。
　「IdP Certificate」「Single Sign-On URL」「IdP Entity ID」の情報が自動的に入力されます。

⑮Status、HTTP-Redirect を「Enabled」にします。
⑯ZPA (SP) SAML Request を「Signed」にします。
⑰SCIM Sync と SCIM Attributes for Policy を「Enabled」にします。
⑱「Generate New Token」をクリックします。
⑲SCIM Service Provider Endpoint URL と Bearer Token をコピーして保存します。

5. Okta設定 (2)：サインオン

Oktaの管理ポータルに戻り、サインオンの設定を行います。

①サインオンタブを選択します。
②「編集」をクリックします。

③「SAML 2.0」を選択します。
④GroupNameのドロップダウンメニューから「Matches regex」を選択します。
⑤「.* (ピリオド、アスタリスク)」を入力します。

⑥サービス・プロバイダーURLに4 ⑫でコピーした「Service Provider URL」をペーストします。
⑦サービス・プロバイダー・エンティティIDに4 ⑫でコピーした「Service Provider Entity ID」をペーストします。
⑧「保存」をクリックします。

6. SCIMプロビジョニングの有効化 (任意)

SCIMプロビジョニングの設定をします。

①プロビジョニングタブを選択し、「API統合を構成」をクリックします。

②「API統合を有効化」を選択
③ベースURLに4 ⑲でコピーした「SCIM Service Provider Endpoint URL」を入力します。
④API トークンに4 ⑲でコピーした「Bearer Token」の値を入力します。
⑤「API資格情報をテスト」を選択します。エラーが表示された場合は、URLとトークンを再度コピー、
　新しいトークンを生成、ZPA設定が保存されていることを確認してください。
⑥認証情報を確認したら、「保存」をクリックします。